BLUETEAM ACADEMY — GHID PRACTIC DE RECUNOAȘTERE A TENTATIVELOR DE PHISHING Microsoft 365 / Entra, Google Workspace și amenințările AI Ediția cursului: octombrie 2026. Urmați procedurile aprobate de organizația dumneavoastră. 1. OPREȘTE-TE ȘI ANALIZEAZĂ CEREREA Ce mi se cere să schimb, să divulg, să autorizez, să plătesc, să descarc sau să rulez? Mă așteptam la această lucrare? Are expeditorul autoritatea pentru această acțiune? Un nume familiar, un logo, un fir existent, gramatică corectă, HTTPS, voce sau video nu răspunde la acele întrebări. Un cont autentic poate fi compromis. 2. VERIFICĂ FĂRĂ A UTILIZA RUTA MESAJULUI Folosește un bookmark consacrat, lansatorul companiei, service desk-ul sau un contact salvat. Pentru plăți și modificări de cont bancar, respectă regulile de confirmare telefonică și aprobare dublă. Nu apelați la un număr furnizat de solicitarea suspectă și nu aprobați o excepție pentru că solicitarea pretinde urgență, confidențialitate sau superioritate ierarhică. 3. LINK-URI ȘI CODURI QR Dacă clientul dvs. oferă o previzualizare sigură, inspectați întreaga destinație fără a o deschide acesta. Gazda nu este un brand menționat anterior într-un subdomeniu sau ulterior într-un cale. Un URL scurtat sau un cod QR poate ascunde destinația. Nu deschideți un link către testează dacă este sigur. Folosește serviciul de business cunoscut, direct. 4. CODURI DE DISPOZITIV MICROSOFT ȘI CONSIMȚĂMÂNT O pagină reală Microsoft poate autoriza o solicitare inițiată de un atacator. Nu introduceți un cod de dispozitiv primit dintr-o întâlnire, de la un recrutor sau un mesaj de suport nesolicitat. Finalizați doar un flux de dispozitiv pe care l-ați inițiat deliberat pentru o aplicație cunoscută și aprobată. Autentificarea este diferită de acordarea permisiunii unei aplicații pentru email sau fișiere. Verificați identitatea aplicației, scopurile cerute, scopul de afaceri și starea aprobării. Nu aprobați niciodată un prompt MFA neașteptat, inclusiv la solicitarea unui apelant. 5. GOOGLE WORKSPACE O notificare reală de partajare Drive nu garantează că documentul este sigur. Un document extern sau o invitație în Calendar poate conține un link nesigur sau o solicitare riscantă. Folosiți ruta cunoscută pentru Drive/Calendar și verificați separat scopul de business. Revizuiți permisiunile aplicațiilor terțe împreună cu IT. Eliminarea accesului ulterior nu poate recupera datele deja copiate. Google acceptă și autorizarea legitimă a dispozitivelor; tratați instrucțiuni neașteptate pentru dispozitiv ca întrebare de autorizare, nu de brand. 6. AI, COLABORARE ȘI ATAȘAMENTE O voce sau un video convingător nu înlocuiește controalele de aprobare a identității și a plății. Un rezumat AI poate repeta instrucțiuni malițioase dintr-un document pe care l-a rezumat. Mesajele externe Teams sau Chat necesită aceleași verificări ca emailul. Nu deschideți arhive protejate cu parolă pentru a evita scanarea, nu rulați executabile sau nu activați macrocomenzi doar pentru a citi un document. Un CAPTCHA fals sau o reparație de întâlnire poate solicita să lipești și să execuți o comandă. Oprește-te: nu o executa. Nu instalați o extensie de browser sau un instrument de asistență la distanță neaprobat. 7. ARBORE DE DECIZII VIRUSTOTAL — ÎNAINTE DE ORICE INTEROGARE SAU TRANSMITERE A. Permite politica companiei și termenii serviciului această utilizare? NU / NESIGUR -> folosește canalul intern de securitate aprobat. B. Fișierul sau indicatorul conține informații confidențiale, personale sau de acces? DA / NESIGUR -> nu încărcați și nu lipiți în servicii publice de scanare. Exemple: salarizare, contracte, date pacienți/clienți, linkuri private de partajare, linkuri de resetare parolă, URL-uri de descărcare semnate, token-uri de acces și detalii interne. C. Pentru un fișier permis, deja deținut în siguranță, există un SHA-256 aprobat? Întreabă securitatea sau folosește un instrument local aprobat fără a executa fișierul. Nu descărcați un atașament suspect doar pentru a-i obține hash-ul. D. Căutați hash-ul permis pentru un RAPORT EXISTENT. Acest lucru nu încarcă octeții fișierului, dar totuși dezvăluie interogarea către o terță parte parte. Un raport lipsă înseamnă necunoscut; nu autorizează încărcarea unui fișier. E. Pentru un URL public permis, verifică dacă întregul șir nu conține informații sensibile informații înainte de a interoga. Căutările URL pot fi scanate și partajate; nu presupuneți că o căutare este privată sau că eliminarea unui token testează același obiect. F. Verifică identificatorul analizat, tipul fișierului, data analizei și rezultatele individuale. Zero detecții nu înseamnă dovadă de siguranță. Un raport vechi poate să nu descrie situația actuală conținut. O detecție poate necesita interpretare; nu suprascrie instrumentele companiei. G. Un raport nu aprobă o plată, un acord, o autentificare sau eliberarea de date. Respectați procesul aprobat de investigație și escaladare. DE CE FIȘIERELE CONFIDENȚIALE TREBUIE SĂ RĂMÂNĂ ÎN AFARĂ Trimiterile și rapoartele VirusTotal obișnuite pot fi partajate în cadrul securității sale ecosistem, inclusiv parteneri și clienți. Scanarea publică poate crea un nou dezvăluirea datelor. Private Scanning este un serviciu separat care trebuie aprobat și configurat pentru organizația dumneavoastră. Este insuficient doar să vă autentificați sau să plătiți. Dacă ați transmis din greșeală materiale sensibile, raportați imediat această dezvăluire; nu presupuneți că ștergerea unei copii locale sau schimbarea numelui fișierului o anulează. 8. ȘABLON RAPORT INCIDENT — UTILIZAȚI DOAR CANALELE INTERNE APROBATE Cont / dispozitiv afectat: Timp și fus orar aproximativ: Canal și expeditor declarat: Ce am observat: Ce am făcut de fapt (am vizualizat / am dat click / am introdus parola / am finalizat MFA / cod de dispozitiv introdus / acordat acces aplicație / rulat conținut / trimis date / efectuat plată): Orice descărcări, solicitări sau modificări observate: Ce am încetat să mai fac: Unde este reținută dovada originală folosind instrumentul aprobat de raportare: Rută cunoscută de service desk sau securitate folosită: Raportați rapid chiar dacă sunteți nesigur. Nu repetați acțiunea pentru a investiga. Nu introduceți parole, coduri de recuperare sau secrete în raport. Securitatea poate necesita revocarea sesiunilor și a permisiunilor aplicațiilor, inspecția regulilor casuței poștale și revizuiți dispozitivele; schimbarea parolei nu reprezintă un răspuns complet pentru fiecare caz. Pentru plăți, informează imediat financiarul și securitatea prin canalele stabilite. Respectați instrucțiunile echipei de răspuns, nu improvizați ștergerea dispozitivelor sau modificări. REFERINȚE https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Folosește exemple fictive sau anonimizate în răspunsurile la curs. Nu insera date reale fișiere suspecte, link-uri private sau secrete de companie pe platforma de instruire.